漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0129743
漏洞标题：点到按摩再次渗透测试（数十万元优惠券可泄露用来免费按摩）
相关厂商：diandao.org
漏洞作者： ago
提交时间：2015-07-27 17:52
修复时间：2015-09-14 20:28
公开时间：2015-09-14 20:28
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-27： 细节已通知厂商并且等待厂商处理中
2015-07-31： 厂商已经确认，细节仅向厂商公开
2015-08-10： 细节向核心白帽子及相关领域专家公开
2015-08-20： 细节向普通白帽子公开
2015-08-30： 细节向实习白帽子公开
2015-09-14： 细节向公众公开
简要描述：
点到按摩再次渗透测试（免费按摩爽不爽，数十万元优惠券）
详细说明：
入手点：
看来真的跟58很有渊源啊
何流 364446153@qq.com 1988123he
所以mail为heliu@diandao.org
漏洞证明：
优惠券100元*1000张
heliu@diandao.org 1988123he
含智联，拉钩账户等
北京彩虹乐享信息技术有限公司精准营销（代理商）正式帐号已经开通！ 总机号码为：400 819 1190
首先您登录代理商后台，地址为：http://60.247.29.33
ID：CHLX
密码：chle!@#
登录后，将下面的基本步骤设置好后，您就可以使用了！
1、 进入“商户”——创建商户帐户
2、 进入“账户管理”——为商户“充值”
3、 进入“接线员信息”——＞管理——＞新建（绑定接线员信息）
您的微信支付商户申请已经审核通过！
商户号(PartnerID)： 1223834001
商户名称： 北京彩虹乐享信息技术有限公司
登录密码： 111111
初始密钥(PartnerKey)： 5e12f373ea341e8ed68a1a72b806d961
安全证书： 1223834001_20141119153935.pfx（请下载邮件附件）
银行账号： 110913176910127
提示：此账号用于您与财付通之间的结算
您已经使用张思佳 (zhangsj@diandao.org)注册成为2015年全球移动互联网大会北京站的观众。此邮件包括您的注册账户信息。今天，您可以使用此账户轻松注册长城会举办的所有活动。
账户邮箱: heliu@diandao.org
默认密码: ef6ea4
点击 这里 登录。
hi！你好！
以下是store端的后台账号信息。
账号：jd_dd01 密码：dd123456
账号：jd_dd02 密码：dd123456
store端后台登陆地址：http://store.jd.com
此后台是提供给商家运营修改价格、库存、以及查询订单使用的。
在附赠一个弱口令邮箱lizhao@diandao.org diandao123
修复方案：
加强密码，增强安全意识
版权声明：转载请注明来源 ago@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-07-31 20:26
厂商回复：
感谢提供漏洞，我方积极修复。
最新状态：
暂无